乗換案内サービスを運営する株式会社駅探は2026年11月3日、メール配信に利用している外部サービス「アララメッセージ」（提供元：アララ株式会社）が第三者による不正アクセスを受け、駅探がメール配信に使っているメールアドレス情報が流出の対象に含まれるとアララから報告を受けたと発表した。駅探は10月29日の時点でアララから「影響はない」との回答を受けていたが、11月3日午後に新たな報告があったという。運行情報メールなど4つのメール配信サービスを一時停止している。
10月29日は「影響なし」、11月3日に報告が変わる
駅探の発表によると、経緯は次のとおりである。
- 2026年10月29日：アララに確認し、駅探が利用している環境には影響がないとの回答を受けた
- 2026年11月3日午後：駅探が同サービスを通じて取り扱っているメールアドレス情報も流出したとの新たな報告をアララから受けた
流出の詳細と影響範囲については、駅探がアララに確認を進めているとしており、件数や、メールアドレス以外の情報が含まれるかどうかは発表されていない。
有料機能を含む4サービスを停止
駅探は、次のメール配信サービスを一時停止している。再開の時期は未定としている。
- 運行情報メール
- 朝刊メール（有料機能）
- 乗換アラートメール（有料機能）
- フライトお知らせメール（駅探プライム向けの有料機能）
あわせて、流出したメールアドレスを悪用した不審なメールが届くおそれがあるとして、身に覚えのないメールに記載されたURLにアクセスしたり、添付ファイルを開いたり、個人情報やパスワードを入力したりしないよう呼びかけている。
アララ側の調査で影響範囲が広がった
アララは11月2日に公表した第2報で、当初「1つの共用環境（複数の契約企業で共有するシステム環境）、メールアドレス約301万件」としていた流出の範囲が、契約企業の環境にあるサーバー97台（推計で最大約380社）に広がり、持ち出されたメールアドレスが現時点の調査で約7,700万件（精査中）にのぼると発表している。アララは、1人が複数のメールアドレスを持っている可能性があるため、この件数は利用者の人数を示すものではないとしている。10月31日にはサービスの提供をすべて停止した。
駅探のように、委託先から最初は「影響なし」と伝えられた企業でも、委託先の調査が進むにつれて対象に含まれると分かることがある。
「影響なし」の回答は途中経過として受け止める
委託先で事故が起きた直後の「影響なし」は、その時点の調査結果にすぎない。今回のように、委託先の調査が進むにつれて報告が変わることがある。委託元の企業は、最初の回答で確認を終えず、委託先の続報を追い続ける体制が必要になる。
また、乗換案内や運行情報のように日常的に使われるサービスのメールは、受け取る側が開くことに慣れている場合もある。配信先のメールアドレスが流出すると、運行の乱れや有料機能の更新を装ったメールで偽サイトに誘導する手口に使われるおそれがある。委託先に預けている情報の範囲を把握し、事故のときに利用者へ速やかに注意を呼びかけられるようにしておくことが、委託元に求められる備えである。
同じ手口に、自社は備えられていますか？